法国数百家超市制冷系统遭远程攻击，黑客强制除霜并把温度拉到50℃，生鲜冷冻一夜损毁，损失或达数百万欧元。

你见过勒索软件锁死电脑，也见过数据被加密要赎金。但你想过吗——黑客动动手指，能让一家超市的冷柜从-20℃烧到50℃。上周五夜里，法国数百家超市就经历了这一幕：冷柜连续制热六小时，里面的生鲜、冷冻食品成批报废，业内估算损失可能高达数百万欧元。

这起事件的主角不是某台服务器，而是制冷控制系统。当OT（运营技术）设备连上网，物理世界的冰箱就成了能被远程操控的”武器”。对每一个管着工控设备的安全人来说，这堂课很贵，也很值。

一、攻击是怎么发生的？

据法国BFMTV和新华社报道，10月11日夜间，法国数百家超市的制冷系统遭遇大规模网络攻击。

黑客的手法是”改参数”。冷柜本身自带除霜机制，正常只用来融化蒸发器上的结霜，行业常规配置大概是24小时内除霜两小时。攻击者篡改了这套逻辑，远程触发”强制除霜”，并把温度设定到50摄氏度，让设备连续数小时制热。冷柜不再制冷，反而变成了一个持续加热的烤箱。

受影响的是丹麦工业技术公司Danfoss（丹佛斯）的制冷调节软件，主要是4.0版本之前的旧版本。这类控制器在法国零售行业装机量极高——这也是本次攻击影响范围巨大的核心原因。

二、为什么一次攻击能波及这么多家超市？

关键在于这些制冷设备不是一台台独立的冰箱。

超市的冷柜、冷冻展柜、压缩机，统一接入中央调节控制器。这个控制器相当于一台小型工控主机，负责统管各制冷回路的温度、推送告警。它支持联网，原本是为了方便制冷工程师远程查看温度、调参数，夜间告警时不必连夜赶去现场。

但便利的代价是暴露面。攻击者一旦拿下这套远程接口，就拿到了同等的控制权限——门店停业期间，他可以把冷冻柜的温度从-20℃直接上调到30℃甚至更高。

后果是连锁的。法国家乐福表示旗下80家超市受影响；Monoprix称约5%的门店被波及；Intermarche的母公司Les Mousquetaires说，约150家门店的冰箱在夜间被加热到50℃、持续六小时；零售合作社Coopérative U也确认成为攻击目标。比利时、荷兰的部分门店同样受到牵连。

更值得注意的是，这并非”零day”。今年8月，Claroty的Team82团队就演示过制冷控制器的漏洞，当时一次Shodan扫描就发现超过3700台这类控制器可以直接从互联网访问。换句话说，隐患早就摆在那里，只是没人想到它真会被用来”加热超市”。

三、暴露的是老问题：OT设备裸奔在公网

这起事件的技术含量其实不高，但它精准命中了工控安全的三个老毛病。

第一，联网即暴露。为了让运维省事，大量OT设备直接连上了公网。制冷控制器、PLC、HMI，很多都能被Shodan一类的搜索引擎直接扫到。

第二，默认口令与弱鉴权。这类控制器往往沿用出厂默认账号密码，或者远程接口只做了最基础的鉴权，攻击者拿到一个入口就能批量操作。

第三，IT与OT的防护割裂。IT侧有EDR、有防火墙、有日志，OT侧却常年”三不管”——没人打补丁，没人做资产梳理，出了事才发现连设备清单都没有。

物理世界被攻击的后果，往往比数据泄露更直观：货架上的生鲜是钱，停业抢修是钱，品牌信誉更是钱。这次损失”数百万欧元”的估算，已经说明问题。

四、给OT安全的实操建议

如果你的单位也有联网的工控设备，下面这几件事建议尽快落地。

先做资产测绘：用Shodan、FOFA或内网扫描，摸清有多少OT设备暴露在公网。这是所有工作的前提，连资产都不清楚，谈防护是空的。
把设备从公网拉回内网：制冷、暖通、能源类控制器，原则上不该直接暴露在互联网。必须远程访问的，走VPN或零信任网关，并叠加多因素认证。
改掉默认凭证，收紧权限：所有OT设备的默认口令必须改；远程接口按最小权限配置，能只读就不要给写权限。
设置物理安全边界：给关键控制器加上温度、压力的阈值告警。正常除霜不会持续数小时，一旦参数异常，系统要能自动切断或人工介入。
做IT/OT隔离：OT网络与IT网络之间做严格分区，禁止OT设备随意出网，同时监控OT网络里的异常流量。
建立应急预案：想清楚”如果冷库被加热/被锁死，我们怎么在最短时间内止损”。这次事件里，有的门店商品没能撑到开门，有的抢救回了一部分——差别就在应急速度。